适合：mittwald mStudio 的用户（主要是德国的网站代理公司），以及运营着把 AI 助手连接到自家服务的 MCP 服务器的人。本文基于 mittwald 的官方博客文章和 FAQ。不涉及攻击步骤。
事件仍在发展：本文将随机构发布更多信息而更新
- 适用对象
mittwald mStudio 的用户（主要是德国的网站代理公司），以及运营着把 AI 助手连接到自家服务的 MCP 服务器的人。
- 已确认的影响范围查看表格 ↓
- 入口
- 被攻陷的客户项目
- 视为已被攻陷的期间
另外4项
- 发现与关闭
- 被读取的信息
- 11月6日的情况
- 数据是否被公布
被列为可能涉及的项目
- 是否使用 AI 工具
- 尚未确认的事项
- 客户的文件、数据库或邮箱是否被访问（公司称审查仍在继续）
- 漏洞的具体情况和位置（公司的代码还是某个库）
- 公司的详细报告（计划于下周发布）
另外2项
- MCP 服务器是否会恢复
- 是否真的使用了 AI 工具（公司称是怀疑）
- 现在要做的事查看步骤 ↓
- 确认是否受影响：您用过 MCP 服务器吗？收到公司的邮件了吗？
- 如果受影响：更改密码并启用双因素认证
- 检查 API 密钥、项目令牌和 SSH 密钥
另外3项
- 轮换外部服务的凭据，并告知相关人员
- 就被锁定的网站和备份咨询公司
- MCP 服务器运营者：检查自己的配置
- 最后核实
- 截至2026年11月10日
续报计划与核实记录
公司博客中的时间线截至2026年11月7日。公司称，待分析和恢复全部完成后，将在下周发布详细说明，在此之前将通过状态页面和电子邮件分享信息。2026年11月10日我们查看时，尚未找到这样的报告。
mittwald 用户和 MCP 运营者今天该做什么
确认是否受影响：您用过 MCP 服务器吗？收到公司的邮件了吗？
根据 mittwald 的 FAQ，受影响的是使用过 MCP 服务器的客户，他们会收到一封个人邮件。如果您从未设置过 MCP 服务器，也没有收到邮件，公司目前的看法是您未受影响。仍然建议启用双因素认证。
公司建议，如果您在2026年10月27日（攻击者实际利用漏洞的那一天）或之后使用过 MCP 服务器，请把该账户视为可能已被攻陷。
检查 API 密钥、项目令牌和 SSH 密钥
这遵循公司的指引。
- 翻看您的 API 密钥、项目令牌和 SSH 密钥列表，删除您不认识的任何一项
- 尤其要查找不是您自己创建的 SSH 用户
- 公司已出于预防撤销了 API 密钥
SSH 密钥的处理方法见SSH 密钥的最小权限。
轮换外部服务的凭据，并告知相关人员
公司建议更新第三方服务（如数据库、邮件和外部 API）的凭据。也请告知使用您项目的人（您的客户和团队）。
公司称，如果客户需要采取进一步措施，会通过电子邮件单独通知他们。
就被锁定的网站和备份咨询公司
根据公司的 FAQ，出于预防而被锁定的网站，会在安全扫描完成后逐个重新开放。如果您从备份恢复，公司称，由客户与公司一起决定保留10月27日以来的哪些更改。联系渠道和状态页面列在公司的博客中。
MCP 服务器运营者：检查自己的配置
针对这次事件，您自己的 MCP 服务器要检查什么，汇总在下面的“MCP 服务器运营者应该检查什么”中。
事件经过（来自 mittwald 的公告）
本节基于 mittwald 的官方博客文章“Sicherheitsvorfall am MCP-Server”（MCP 服务器的安全事件）及其 FAQ。时间按公司所述。这是公司自己的说法，未经第三方核实。
10月21日（晚上）
攻击者首次测试 MCP 服务器中的漏洞。公司写道，这与关于 PHP2Shell 的讨论差不多在同一时间。10月23日
攻击者开始以普通用户身份活动：注册测试账户、使用扩展，并尝试简单的注入（公司）。10月27日 14:58 至 15:03
攻击者在 14:58 注册了另一个账户，并在 15:03 利用了 MCP 服务器的漏洞。公司把10月27日以后的所有数据都视为已被攻陷。11月4日
早上，公司注意到其一个系统中出现异常行为。11:11 封锁了攻击者的第一个账户，12:53 把状态页面设为“调查中”。确认 MCP 服务器是入口并将其关闭。晚上 mStudio 重新上线。Web 项目全程保持可访问。11月5日
午夜过后不久，公司锁定了有攻击者痕迹的项目，暂时停用新账户注册，并在白天封锁了 mStudio 登录和对客户项目的 SSH 访问。调查期间
外部 IT 取证专家协助分析，公司已通知主管部门。11月6日
公司对 56 个被攻陷的项目和 MCP 服务器进行了取证检查。反复扫描没有发现更多被攻陷的项目，目前检测不到攻击者活动。夜间 mStudio 恢复可用。11月7日
mStudio 和 SSH 访问重新可用。出于预防而被锁定的网站暂时仍被锁定。公司称客户中心及其管理的网站未受影响。通行密钥设置开放。
10月21日起
试探漏洞、测试账户
↓→
10月27日
漏洞被利用，56 个项目
↓→
11月4日
被发现，MCP 服务器关闭
- 入口
- MCP 服务器中的一个漏洞，该服务器把客户的 AI 助手与公司的控制面板 mStudio 连接起来
- 被攻陷的范围
- 56 个客户项目。公司把10月27日以后的所有数据都视为已被攻陷
- 被读取的内容（FAQ）
- 不是密码，而是 MCP 服务器用户的会话令牌，已全部撤销。持有令牌的人可以以该用户的权限访问 mStudio
- 未受影响
- 客户中心及其管理的网站。公司称它们在任何时候都未受影响
- 数据（FAQ）
- 没有迹象表明数据被公布到互联网上，但审查仍在继续。发现有文件、数据库或邮箱被取走迹象的客户，会被单独告知。如果没有收到这样的消息，目前没有迹象表明该项目被访问
- 关于 AI 的使用
- 公司称日志中的各步骤只相隔几秒，据报道，攻击者在系统中移动得非常快。公司称这表明使用了 AI 工具。这是公司的怀疑
- 公司的应对
- 封锁账户和项目、停用注册、封锁登录和 SSH、撤销访问、关闭 MCP 服务器、反复扫描。外部 IT 取证专家协助分析。已通知主管部门
- 接下来
- 下周，待分析和恢复全部完成后，将发布详细说明。信息将通过状态页面和电子邮件提供
已知与未知
截至2026年11月10日的状态。有更多信息公布时，我们会更新状态一栏。
| 项目 | 内容 | 状态 |
|---|---|---|
| 入口 | MCP 服务器中的一个漏洞 | 已确认（公司） |
| 被攻陷的客户项目 | 56 个 | 已确认（公司） |
| 视为已被攻陷的期间 | 10月27日以后的数据 | 已确认（公司） |
| 发现与关闭 | 11月4日；MCP 服务器关闭 | 已确认（公司） |
| 被读取的信息 | MCP 服务器用户的会话令牌。未读取密码。全部已撤销 | 已确认（公司 FAQ） |
| 客户中心及其管理的网站 | 未受影响 | 不在范围内（公司） |
| 11月6日的情况 | 没有发现更多被攻陷的项目；检测不到攻击者活动 | 已确认（公司） |
| 对客户数据（文件、数据库、邮件）的访问 | 有被取走迹象的客户会被单独告知；审查仍在继续 | 调查中 |
| 数据是否被公布 | 没有迹象表明被公布到互联网上 | 已确认（公司 FAQ；审查仍在继续） |
| 是否使用 AI 工具 | 根据日志中的速度所作的推断；没有出示直接证据 | 可能（公司） |
| 漏洞的具体情况和位置 | 未公布 | 未说明 |
| MCP 服务器是否恢复 | 将在调查后决定 | 调查中 |
| 详细报告 | 计划于下周发布 | 已计划（公司） |
如何解读：公司的说法未经第三方核实
56 个这一数字和时间线来自公司自己的调查。公司称有外部 IT 取证专家协助分析，但他们的发现尚未公布。使用 AI 是公司根据速度得出的怀疑，而不是已确认的事实。媒体报道称，该漏洞是在公司的代码中还是在开源库中，也不清楚。
MCP 服务器连接到客户环境时可能发生什么
以下是一般性说明，并不意味着本次事件中发生了这些事。公司公布已经发生的内容，仅限于上面的“事件经过”。
MCP（Model Context Protocol）是 AI 助手调用外部服务的一种方式。当它连接到托管控制面板这类可以操作服务器和数据库的服务时，MCP 服务器就成了代替用户采取行动的入口。
如果该入口的认证或输入检查存在缺陷，入口所持有的权限就可能触及其他用户的令牌和操作。在这次事件中，公司称被读取的是用户的会话令牌，持有令牌的人可以以该用户的权限进入控制面板。令牌的权限越广，单个入口的漏洞能触及的项目就越多。
MCP 服务器运营者应该检查什么
本节不评价公司的应对，也不猜测漏洞的内容或原因。仅根据已公布的时间线和 MCP 服务器的一般特点，列出检查自己配置的要点，这些都是本站的观点。
按用途限定交给 MCP 服务器的令牌范围
在这条时间线中，被读取的令牌直接变成了控制面板的权限（公司 FAQ）。请把 MCP 服务器接收或签发的令牌限制在 AI 助手任务所需的范围内，例如只读或单个项目，并与管理员权限分开。这会缩小一次泄露的影响范围（本站的观点）。
让令牌短期有效，并在事件发生之前准备好撤销手段
公司的应对是撤销所有被读取的令牌。更短的有效期会缩短泄露的令牌可被使用的时间。请在事件发生之前建立并演练批量撤销令牌的流程（本站的观点）。
在真正被滥用之前，发现试探阶段
据公司的说法，10月21日有首次测试，从10月23日起有测试账户注册和简单的注入尝试，10月27日漏洞被真正利用。针对新账户注册的突增、输入时的异常错误以及单个账户的大量调用设置告警，也许能发现试探阶段（本站的观点）。
把速度当作日志中自动化的信号
公司把相隔几秒的步骤当作使用 AI 工具的线索。无论是否是 AI，一个账户以人类跟不上的速度持续操作，对检测都有用。请为每个账户的操作速率设置上限，超出时停止或要求确认（本站的观点）。
在关闭 MCP 服务器时保留替代方案
公司关闭了 MCP 服务器，并引导客户改用其命令行工具（CLI）。保留一种不使用 MCP 的工作方式，能让关闭某个入口的决定做得更快（本站的观点）。AI 在攻击中自主行动的另一个案例，见对 Hugging Face 的入侵。
信息来源（公开记录）
本文中的事实来自以下公开信息。不涉及攻击步骤的细节。
- mittwald，“Sicherheitsvorfall am MCP-Server”（官方博客，德语；时间线截至11月7日）— mittwald.de
- mittwald，“MCP-Server: Was du jetzt wissen musst”（官方 FAQ，德语；11月10日确认）— mittwald.de
- The Record，“Alleged AI-aided cyberattack exploits assistant interface to breach German web host”（媒体报道，辅助来源；2026年11月9日）— therecord.media
更新记录
2026-11-10：首版。基于 mittwald 的官方博客文章（时间线截至11月7日）、其 FAQ 以及媒体报道。公司计划于下周发布的详细报告公布后，我们将更新。
延伸阅读
- AI 推理平台遭入侵：NEAR AI 推理引擎漏洞 / Fireworks AI 安全事件
- AI 在攻击中自主行动：对 Hugging Face 的入侵（2026年）
- AI 工具的分发被攻陷：LiteLLM 1.107.0 带有凭据窃取程序
- 托管服务商被入侵时：应对托管服务商入侵
- 多因素认证：多因素认证入门 / 什么是通行密钥
- 2026年的其他事件：2026年的数据泄露与网络攻击